Binance: falsa entrevista de emprego e tarefa de código levaram a malware no macOS e ao roubo de US$ 6,34 bilhões

Se você é dev, SRE ou trabalha com infraestrutura sensível e recebe ofertas de recrutadores em plataformas de vagas, este caso importa. A Binance publicou um relatório de incidente dizendo que o roubo de cerca de US$ 6,34 bilhões em cripto, em 29 de outubro, começou com uma falsa entrevista de emprego e uma tarefa de código mal-intencionada rodada no Mac de um engenheiro. As informações abaixo vêm da cobertura do BleepingComputer sobre o relatório.

O que a Binance disse que aconteceu

Segundo a Binance, o ataque começou em setembro. Um engenheiro de software foi contatado em uma plataforma legítima de busca de emprego por alguém que se passava por Project Director de uma empresa fictícia. O perfil do engenheiro citava experiência na Binance, o que o tornava um alvo valioso.

O falso recrutador marcou duas entrevistas:

• Na primeira, uma pessoa se passando por RH fez uma videochamada ao vivo e compartilhou uma conta de rede social com fotos e vídeos pessoais para criar confiança.
• Na segunda, feita por um aplicativo de chat popular, outra pessoa se dizendo CEO pediu que o engenheiro baixasse uma tarefa de programação de um repositório de código online.

A Binance afirma que o repositório continha código malicioso. Ao ser executado, ele instalou no dispositivo um malware customizado, inédito, que as ferramentas de proteção de endpoint não detectaram na época.

Como o malware se escondeu no macOS

O relatório descreve a técnica com algum detalhe. O script criou um executável chamado pyenv_ no diretório de instalação do Homebrew no macOS. Depois apagou o pyenv legítimo, renomeou o arquivo malicioso para pyenv e modificou o link simbólico. Com isso, usou o binário para iniciar um processo zsh. A substituição permitia executar comandos recebidos de um servidor controlado pelo atacante.

A Binance também diz que o malware usava ofuscação e evasão, e que o atacante apagou rastros para dificultar a detecção e a investigação posterior.

O ponto técnico é que o alvo foi uma ferramenta de desenvolvimento comum, que roda com frequência e dificilmente chama atenção. O binário passa a ser executado sempre que o dev usa o pyenv.

Do laptop ao serviço de assinatura de carteiras

Segundo a Binance, até 20 de outubro os atacantes usaram o computador do engenheiro comprometido e uma ferramenta interna de IA para comprometer outros dois funcionários da infraestrutura de carteiras. Com isso obtiveram credenciais e um token de implantação de container.

Em 29 de outubro, as credenciais roubadas foram usadas para implantar um script malicioso e obter acesso ao serviço de assinatura de carteiras. Isso permitiu transferir bilhões em ativos entre várias blockchains.

Os atacantes também abusaram do mecanismo de autorização EIP-7702 do Ethereum. Segundo a Binance, isso permitiu continuar roubando fundos mesmo depois de a exchange suspender os saques.

Atribuição e resposta

O BleepingComputer informa que o FBI atribuiu o ataque ao grupo norte-coreano TraderTraitor, também rastreado como Lazarus Group, Jade Sleet e APT38. A Binance diz que reconstruiu os sistemas afetados, trocou dispositivos comprometidos e revogou as credenciais roubadas.

Segundo a empresa, até 3 de novembro cerca de US$ 2,85 bilhões dos ativos roubados tinham sido congelados ou interceptados. Até 31 de outubro, 98% dos tokens afetados haviam sido repostos. A investigação continua, com empresas independentes de segurança contratadas.

O BleepingComputer lembra que o padrão (recrutador falso, várias entrevistas, tarefa de código maliciosa) lembra campanhas norte-coreanas já documentadas, como Contagious Interview e Operation Dream Job. A Binance não ligou o caso a nenhuma das duas. Em junho de 2025, a Socket reportou uma campanha Contagious Interview com recrutadores falsos no LinkedIn e 35 pacotes npm maliciosos em tarefas de código.

O que checar

O relatório não traz hashes nem outros indicadores no texto do BleepingComputer. Consulte o relatório da Binance para os indicadores completos. Estas verificações seguem o que o artigo descreve:

• No Mac de quem usa Homebrew e pyenv, confira o caminho do pyenv e se ele é o link simbólico esperado:

which pyenv
ls -l "$(which pyenv)"
ls -l "$(dirname "$(which pyenv)")" | grep pyenv

• Procure um arquivo chamado pyenv_ no diretório do Homebrew e qualquer processo zsh filho inesperado do pyenv. Se achar algo estranho, trate a máquina como comprometida e troque as credenciais que passaram por ela.
• Não execute tarefas de código de recrutadores na máquina de trabalho. Use uma VM ou um ambiente descartável, sem acesso a credenciais, tokens ou chaves de deploy.
• Revise onde tokens de implantação de container e credenciais de sistemas críticos ficam acessíveis a partir de laptops de desenvolvedores, e quais ferramentas internas de IA têm acesso a esses ambientes.
• Reforce o monitoramento de EDR para alterações em binários de ferramentas de desenvolvimento e links simbólicos, já que a Binance diz que o malware não foi detectado na época.

Fontes: BleepingComputer